場景：任務管理器「結束進程」無效、第三方工具不敢裝、需要純系統命令解決
技巧一：taskkill —— 進程名稱精準打擊（WinXP/2003/Vista/7/8/10/11 通用）
操作步驟
- 打開任務管理器（Ctrl+Shift+Esc）→「詳細資訊」/「進程」頁籤，確認惡意進程**映像名稱**（如 `conime.exe`、`svchost.exe` 偽裝實例）。
- Win+R → `cmd` → 回車。
- 執行：
taskkill /im "惡意進程名" /f
/im 指定映像名稱，/f 強制終止。
- 回顯 `SUCCESS: The process "xxx" with PID xxxx has been terminated.` 即成功。
適用場景與限制
- ✅ 普通用戶權限進程、無自我保護駕殼的木馬、掛馬進程。
- ❌ SYSTEM 權限進程、受保護的系統關鍵進程（csrss.exe、smss.exe、wininit.exe 等）、安裝了內核回調保護的安全軟體進程。
技巧二：ntsd —— 內核級調試器終結一切用戶態進程（Win2000+ 內建）
原理：`ntsd` (NT Symbolic Debugger) 是 Windows 內建用戶態調試器，以 **DEBUG 權限** 附著目標進程，發送 `ExitProcess` 或直接終結，**繞過用戶態 API 限制**，除 `System`、`smss.exe`、`csrss.exe` 三大核心進程外，**理論上可殺死任意用戶態進程**（含受保護的殺毒進程、Rootkit 用戶態組件）。
前置準備：獲取 PID（進程標識符）
- 任務管理器 → 「查看」→「選擇列」→ 勾選 **「PID (進程標識符)」**。
- 或命令行：
tasklist | findstr "惡意進程名" 獲取 PID。
執行命令
ntsd -c q -p PID
- `-c q`：附著後立即發送 `q` (quit) 命令，等同於終結進程。
- `-p PID`：指定目標進程 ID。
實戰示例
發現惡意進程 `evil.exe` PID 為 444：
ntsd -c q -p 444
進程瞬間消失，無任何彈窗確認。
進階組合拳：批量清理同名惡意進程
@echo off
:: 批量殺死所有名為 evil.exe 的進程
for /f "tokens=2" %%i in ('tasklist ^| findstr /i "evil.exe"') do (
ntsd -c q -p %%i
)
echo 清理完成
pause
避坑與法律紅線
- ⚠️ **僅限自有設備/授權環境** 使用，未經授權終結他人進程屬非法入侵。
- ⚠️ 終結系統關鍵進程會導致**藍屏/數據丟失/服務中斷**，務必三次確認 PID/名稱。
- ⚠️ 現代 EDR/殺毒軟體（Defender ATP、卡巴、火綜合等）啟用 **PPL (Protected Process Light)** 後，`ntsd` 可能無法附著，需提升至內核驅動層面（如 `PsTerminateProcess`），屬開發/研究範疇。
- 💡 日常防護仍以 **正規殺毒實時防護 + 系統補丁 + 最小權限原則** 為主，命令行殺進程僅為應急手段。
掌握 `taskkill` 與 `ntsd`，讓你在無圖形介面、無第三方工具的純淨環境下，依然擁有「生殺大權」。